Установление внутренней ситуации
Внутренняя ситуация (контекст) - это внутренняя среда, в которой организация стремится к достижению своих целей.
Процесс риск-менеджмента должен соответствовать культуре, процессам, структуре и стратегии организации. Внутренняя ситуация (контекст) - это что-либо в масштабе организации, что может влиять на то, каким образом организация будет осуществлять риск-менеджмент. Внутреннюю ситуацию (контекст) необходимо определить в силу того, что:
a) риск-менеджмент имеет место в контексте целей организации;
b) цели и критерии конкретного проекта, процесса или деятельности следует рассматривать в свете целей организации в целом;
c) некоторые организации затрудняются распознать возможности достижения своих стратегических, проектных или коммерческих целей, и это влияет на текущие обязательства, возможности, доверие и ценность* организации.
________________
* В контексте корпоративного и финансового риск-менеджмента для данного термина наиболее подходит понятие "стоимость".
Необходимо понимать внутреннюю ситуацию (контекст). Она может включать, но не ограничиваться этим, следующие составляющие:
- управление, организационную структуру, роли и обязанности;
- политики, цели и стратегии, необходимые для достижения этих целей;
- потенциальные возможности, понимаемые как ресурсы и знания (например, капитал, время, люди, процессы, системы и технологии);
|
|
|
- информационные системы, информационные потоки и процессы принятия решений (как формальные, так и неформальные);
- взаимосвязи с внутренними заинтересованными сторонами, их ценности и восприятия;
- культуру организации;
- стандарты, руководства и модели, принятые организацией;
- форму и содержание контрактных отношений.
Установление ситуации процесса менеджмента риска
Необходимо устанавливать цели, стратегии, область применения и параметры деятельности организации или тех ее частей, где применяется процесс риск-менеджмента. Риск-менеджмент следует проводить с полным рассмотрением необходимости обоснования ресурсов, используемых при его осуществлении. Следует также определять требуемые ресурсы, ответственность и полномочия, а также порядок учета.
Ситуация (контекст) процесса риск-менеджмента изменяется в зависимости от потребностей организации. Она может включать, но не ограничиваться этим:
- определение задач и целей деятельности по риск-менеджменту;
- определение ответственностей за процесс риск-менеджмента и в рамках этого процесса;
- определение области применения, а также глубины и широты деятельности по риск-менеджменту, которую необходимо осуществлять, включая особые включения и исключения;
|
|
|
- определение деятельности, процесса, функции, проекта, продукта, услуги или активов с учетом времени и расположения;
- определение взаимосвязей между конкретным проектом, процессом или деятельностью и другими проектами, процессами или видами деятельности организации;
- определение методологий оценки риска;
- определение способа оценки производительности и эффективности риск-менеджмента;
- определение и указание решений, которые необходимо принять;
- идентификацию, охват или объемы необходимого обучения, их уровни и цели, ресурсы, требуемые для такого обучения.
Внимание, уделяемое этим и другим соответствующим факторам, должно гарантировать, что принятый подход риск-менеджмента соответствует обстоятельствам, организации и рискам, воздействующим на достижение ее целей.
Определение критериев риска
Организация должна определить критерии, которые необходимо использовать для оценки значимости риска. Критерии должны отражать ценности, цели и ресурсы организации. Некоторые критерии могут основываться или возникать из правовых и регулятивных требований, а также других требований, которые взяла на себя организация. Критерии риска должны быть согласованы с политикой управления рисками организации (см. 4.3.2), должны быть определены в начале каждого процесса риск-менеджмента и должны постоянно рассматриваться.
|
|
|
При определении критериев риска факторы, которые необходимо рассматривать, должны включать следующее:
- характер и типы причин и последствий, которые могут возникать, и то, как их следует измерять;
- как следует определять возможность;
- временные рамки возможности и/или последствия(ий);
- как должен быть определен уровень риска;
- точки зрения заинтересованных сторон;
- уровень, на котором риск становится приемлемым или допустимым;
- принимать ли во внимание множественные риски, и если да, то каким образом и какие комбинации следует рассматривать.
Оценка риска
Общие положения
Оценка риска - это полный процесс идентификации риска, анализа риска и оценивания риска.
Примечание - Стандарт ИСО/МЭК 31010 предлагает руководство по методам оценки риска.
Идентификация риска
Организация должна идентифицировать источники риска, области воздействия, события (включая изменения в обстоятельствах) и их причины, а также их потенциальные последствия. Цель данного этапа заключается в составлении всеобъемлющего перечня рисков, основанных на тех событиях, которые могут создавать, повышать, предотвращать, снижать, ускорять или задерживать достижение целей. Важно идентифицировать риски, связанные с решением не использовать благоприятные возможности. Всеобъемлющая идентификация является критически важной, потому что риск, который не был идентифицирован на данном этапе, не будет включен в будущий анализ.
|
|
|
Идентификация должна включать риски, независимо от того, контролирует ли организация их источник или нет, даже если их источник или причина могут быть неочевидными. Идентификация рисков должна включать рассмотрение эффекта домино, включая эффект каскада и кумулятивные эффекты. Также необходимо рассматривать широкий спектр последствий, даже если источник риска может быть не очевиден. Наряду с идентификацией, что может произойти, необходимо рассматривать возможные причины и сценарии, которые показывают, какие могут наступить последствия. Все существенные причины и следствия должны быть рассмотрены.
Организация должна применять инструменты и методы, которые соответствуют ее целям и возможностям, а также рискам, с которыми она сталкивается. На этапе идентификации рисков большое значение имеет соответствующая и актуализированная информация. Это по возможности должно включать соответствующую исходную информацию. Для идентификации рисков необходимо привлекать людей, обладающих соответствующими знаниями.
Анализ риска
Анализ риска включает дальнейшее осознание риска. Анализ риска обеспечивает входную информацию для оценивания риска и решений относительно необходимости дальнейшего воздействия на эти риски, а также наиболее подходящих стратегий и методов воздействия. Анализ риска может также предоставлять входную информацию для принятия решений, когда необходим выбор, и наличие альтернативных вариантов, включающих различные типы и уровни риска.
Анализ риска включает рассмотрение причин и источников риска, их положительных и отрицательных последствий и возможности того, что эти последствия могут произойти. Факторы, влияющие на последствия и возможность, должны быть идентифицированы. Риск анализируют посредством определения последствий и возможности, а также других характеристик риска. Событие может иметь множественные последствия и может воздействовать на различные цели. Необходимо также принимать во внимание существующие средства управления, их результативность и эффективность.
Способ, которым выражают последствия и возможности, и способ их комбинирования для определения уровня риска должны отражать тип риска, имеющуюся информацию и цель, для которой результат оценки риска должен быть использован. Все это должно согласовываться с критериями риска. Также важно рассматривать взаимозависимость различных рисков и их источников.
При анализе необходимо рассматривать достоверность в определении уровня риска и его чувствительность к предварительным условиям и допущениям и эффективно обмениваться информацией с теми, кто принимает решения, и, в случае необходимости, с другими заинтересованным сторонами. Такие факторы, как наличие разброса мнений экспертов, неопределенность, доступность, качество, количество, соответствие текущей информации или ограничения моделирования, необходимо констатировать и по возможности обращать на них особое внимание.
Анализ риска может осуществляться с различной степенью подробности, в зависимости от риска, цели анализа и доступной информации, данных и имеющихся ресурсов. Анализ может быть качественным, полуколичественным или количественным, либо быть их комбинацией в зависимости от обстоятельств.
Последствия и вероятность (возможность) могут быть определены посредством моделирования исходов событий или ряда событий, или экстраполяцией данных экспериментальных исследований или имеющихся данных. Последствия могут быть выражены в виде материальных или нематериальных воздействий. В некоторых случаях требуется более одного численного значения или описывающий параметр для указания последствий и степени их осуществимости для различных моментов времени, местоположения, групп или ситуаций.
Оценивание риска
Цель оценивания риска заключается в том, чтобы способствовать принятию решений, основанных на исходных результатах анализа риска, относительно необходимости воздействия на риск и установления приоритета воздействия на риск.
Оценивание риска включает сравнение уровня риска, выявленного во время процесса анализа, с установленными критериями риска во время рассмотрения ситуации (контекста). Рассмотрение необходимости воздействия на риск должно основываться на этом сравнении.
Решения должны более широко учитывать ситуацию (контекст) риска и учитывать толерантность к риску не только организации, извлекающей из риска пользу, но и других сторон. Решения должны приниматься в соответствии с правовыми, регулятивными и другими требованиями.
При некоторых обстоятельствах оценивание риска может привести к решению провести дальнейший анализ. Оценивание риска также может привести к решению не воздействовать на риск каким-либо иным образом, кроме поддержания существующих средств управления. На это решение влияют отношение к риску самой организации и установленные критерии риска.
Воздействие на риск
Общие положения
Воздействие на риск включает выбор одного или более вариантов модифицирования рисков и применение этих вариантов. Будучи примененным, воздействие на риск устанавливает или изменяет средства управления.
Воздействие на риск включает циклический процесс, состоящий из следующих этапов:
- оценивания воздействия на риск;
- обсуждения, являются ли уровни остаточного риска допустимыми;
- если они не допустимы, то создание нового вида воздействия на риск;
- оценивания результативности этого воздействия.
Альтернативные варианты воздействия на риск не обязательно являются взаимоисключающими или подходящими для всех обстоятельств. Альтернативные варианты могут включать:
a) избежание риска посредством решения не начинать или не продолжать деятельность, в результате которой возникает риск;
b) принятие или увеличение риска для использования благоприятной возможности;
c) устранение источника риска (2.16);
d) изменение возможности (2.19);
e) изменение последствий (2.18);
f) разделение риска с другой стороной или сторонами (включая контракты и финансирование риска);
g) осознанное удержание риска.
Дата добавления: 2018-09-23; просмотров: 494; Мы поможем в написании вашей работы! |
Мы поможем в написании ваших работ!